【摘要】本文以一起律所因法务外包中的背景调查环节被诉侵犯个人信息的典型案例为切入点，剖析法务外包场景下案底查询的合法性边界，从合法性基础、目的限定、最小必要、第三方管理四个维度提出合规路径，为律师及企业法务提供实务参考呗。
---
律师法务外包案底查询的合规边界
一起因背景调查引发的诉讼，正在为法务外包行业敲响警钟。
2023年，某头部互联网企业在招聘风控岗位时，通过第三方人力资源公司对候选人进行背景调查，委托明确包含“有无犯罪记录”。第三方公司辗转联系到某律师事务所，由该所律师持调查函前往公安机关调取候选人犯罪记录信息，并出具了所谓的“调查报告”。候选人得知后，以侵犯个人信息权益为由，将互联网企业、第三方人力资源公司及该律师事务所一并诉至法院。
法院经审理认为，犯罪记录属于敏感个人信息，律师事务所作为法律专业服务机构，在未取得当事人单独同意、亦无法律法规明确授权的情况下，以“受托调查”名义调取他人犯罪记录，超出了一般商业尽职调查的合法边界，构成对个人信息权益的侵害。判决三方承担连带赔偿责任，并责令删除相关调查信息。
此案之所以引发行业广泛关注，在于它触及了一个长期被忽视的灰色地带：法务外包中，案底查询究竟能不能做，如果能做，边界在哪里。
问题的根源在于部分从业者对“合法授权”的理解过于宽泛。不少律所和法务外包机构认为，只要客户签署了委托协议、候选人填写了背景调查授权书，就等同于取得了合法授权。这种认知混淆了合同授权与法律授权的界限。个人信息保护法第十三条列举了处理个人信息的合法性基础，包括取得个人同意、为订立履行合同所必需、履行法定职责或法定义务所必需等。犯罪记录作为敏感个人信息，其处理需要取得个人的单独同意，且应当具有特定的目的和充分的必要性。
更值得警惕的是“目的限定”原则的失守。法务外包中的背景调查，目的通常限定于岗位适配性评估，但实际操作中，调查范围往往从“有无犯罪记录”扩展至“有无被行政处罚”“有无涉诉记录”“有无失信记录”等，形成对候选人个人信息的全面扫描。这种超范围调查，即便取得了形式上的授权，也因违反最小必要原则而丧失合法性基础。
律师事务所的角色尤其需要厘清。律师法赋予律师的调查取证权，是为保障诉讼活动中当事人的合法权益而设，并非为商业背景调查提供便利通道。一些律所将调查权“出借”给商业机构使用，本质上是对律师调查权的滥用，既面临行政处罚风险，也可能在民事诉讼中承担侵权责任。前述案例中，法院正是据此认定律师事务所超越了法定调查权的行使边界。
从合规路径看，法务外包中的案底查询应当把握四个维度。第一，合法性基础必须明确。若确需查询犯罪记录，应当由候选人本人向公安机关申请无犯罪记录证明并提供给用人单位，而非由用人单位或受托方代为调取。第二，目的限定必须严格。查询应当与岗位性质直接相关，例如涉及未成年人保护、金融安全等特定岗位，法律有明确从业限制规定的，方可依法查询相应记录。第三，最小必要必须贯彻。能通过公开渠道核实的学历、职业资格等信息，不应纳入犯罪记录查询范围；确需查询的，应限定在特定时间段和特定罪名类型。第四，第三方管理必须到位。企业法务将背景调查外包时，应当在合同中明确数据处理者的义务，包括不得转委托、不得超范围使用、数据删除时限等，并定期对受托方进行合规审计。
对律师而言，承办法务外包业务时应当建立案件准入审查机制。对于涉及个人信息处理的委托事项，应当首先呢评估处理目的是否合法、是否具有充分必要性、是否已取得个人单独同意。对于明显超出法律授权范围的调查请求，应当明确拒绝并留存书面记录。这不仅是执业风险防控的需要，更是律师作为法律职业共同体成员维护法治秩序的应有之义。
对企业法务而言，需要重新审视背景调查的整体流程。将案底查询简单外包，并不能转移法律责任。个人信息保护法第二十一条明确规定，委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。受托人超出委托范围处理个人信息，造成损害的，委托人与受托人承担连带责任。
法律的边界从来不是束缚，而是对各方主体最有效的保护。法务外包的价值在于专业分工带来的效率提升，而非风险转嫁。当案底查询回归法治轨道，受益的不仅是候选人个体的信息权益，更是整个法律服务市场的公信力与可持续性。